Registros de flujo entre cargas

Un registro de flujos entre cargas guarda, por conexión, el origen, el destino, el puerto, el protocolo, el veredicto (permitido o denegado), qué política lo decidió y los bytes. No guarda el contenido.

Un flujo denegado significa que la política funcionó; no que hubo un ataque. Puede ser una aplicación legítima a la que le falta una regla, una configuración vieja o un intento real. Lo que decide qué es no es el veredicto, sino el patrón: un origen que falla una vez contra un destino esperado se parece a un olvido; uno que falla contra muchos destinos distintos en pocos segundos se parece a un reconocimiento de la red.

Para leer un registro de flujos se agrupa por origen y se cuentan los destinos y los puertos distintos. Un trabajo programado que intenta, en el mismo segundo, cinco destinos diferentes y todos son denegados no se explica con una aplicación que olvidó una regla: se parece más a un recorrido de la red. Se anota como patrón y se pregunta al dueño del trabajo, sin concluir.

Consulta la tabla flujos y fíjate en los denegados.

El veredicto «permitido» no dice que el flujo sea esperado. La matriz esperada es la lista de comunicaciones que el equipo declara; todo flujo permitido que no está en ella es una diferencia, y las más interesantes son las que salen del clúster: la política las permitió, pero nadie las había contado.

Consulta las tablas matriz_esperada y flujos y busca el destino externo que recibe tráfico permitido sin estar en la matriz.

El tamaño importa tanto como el destino. La columna bytes permite sumar lo que un origen envió a un mismo destino y decir cuánto es. No dice qué había dentro, pero sí si es una cantidad compatible con lo que la aplicación hace.

Consulta la tabla flujos y suma lo enviado a ese destino externo.

El registro de flujos solo cubre los espacios donde está activo, y a veces solo una muestra. Un flujo que no aparece no demuestra que no ocurrió; solo que no se registró. Es la regla de la lectura de evidencia: la ausencia de una fila es una pregunta.

Consulta la tabla cobertura y piensa qué se puede decir de un espacio con el registro apagado.